La computación cuántica ha trascendido el ámbito académico y se encuentra ahora en fase de preparación práctica. Ya sea que el plazo sea de cinco o quince años, la comunidad de seguridad coincide en un punto: debemos comenzar a prepararnos para la transición a la criptografía resistente a la computación cuántica ahora mismo, no después. Para los CISO, este cambio representa un desafío tanto técnico como estratégico que abarca tecnología, gobernanza, gestión de proveedores y protección de datos a largo plazo.
Por qué esto importa ahora
La idea de que adversarios poderosos ya estén recopilando datos cifrados hoy, esperando la capacidad cuántica para descifrarlos mañana, se ha convertido en una seria preocupación. Este método, a menudo descrito en la industria como " recopilar ahora, descifrar después ", apunta a información sensible con valor a largo plazo: historiales médicos, comunicaciones legales, inteligencia de seguridad nacional o propiedad intelectual que aún puede ser valiosa dentro de una década. El riesgo es sutil pero significativo. Si las computadoras cuánticas logran finalmente romper los algoritmos RSA y ECC , cualquier dato protegido por estos métodos se volverá legible retroactivamente.
En la figura 1, cada nivel representa una etapa diferente por la que deben pasar las organizaciones a medida que avanzan hacia la preparación completa:
Nivel 1 – Conciencia:
En esta etapa, las organizaciones apenas comienzan a comprender los riesgos que plantea la computación cuántica. Están aprendiendo lo que significa "cosechar ahora, descifrar después" e iniciando conversaciones sobre la computación cuántica de precios (PQC), pero aún no cuentan con un plan estructurado.
Nivel 2 – Evaluación:
En esta etapa, las organizaciones comienzan a evaluar sus activos criptográficos. Identifican los algoritmos, claves y certificados que utilizan, y analizan qué sistemas son más vulnerables a las amenazas cuánticas. Esta fase se centra principalmente en el descubrimiento y la evaluación de riesgos.
Nivel 3 – Planificación:
En este nivel, las organizaciones comienzan a desarrollar una hoja de ruta formal para la migración. Esto incluye la colaboración con proveedores, la elección de algoritmos resistentes a la computación cuántica (una vez estandarizados) y la creación de políticas en torno a la criptoagilidad para que los sistemas puedan adaptarse con mayor rapidez.
Nivel 4 – Implementación:
La etapa final implica la implementación efectiva de algoritmos poscuánticos y la sustitución de la criptografía tradicional en toda la empresa. Requiere una estrecha coordinación entre los equipos de TI, seguridad y cumplimiento normativo para garantizar la continuidad del negocio y minimizar las interrupciones.
Pero no solo está en juego la confidencialidad de los datos. Las firmas digitales, la integridad del código, las actualizaciones de firmware y la integración segura de dispositivos dependen de la criptografía asimétrica. Si estos mecanismos se falsifican, la seguridad de toda la cadena de suministro podría verse comprometida. La amenaza cuántica se trata menos de un único evento catastrófico y más de la erosión silenciosa de la confianza en los sistemas digitales de los que dependemos a diario.
¿Cómo es la preparación?
Para los responsables de seguridad, la primera fase de preparación no es la tecnología, sino la visibilidad. La mayoría de las organizaciones carecen de una visión completa de dónde se utiliza la criptografía en su entorno. La criptografía de clave pública abarca desde conexiones TLS y túneles VPN hasta pasarelas de correo electrónico y aplicaciones móviles. Si no se ha realizado un inventario criptográfico en el último año, o nunca, es prácticamente imposible gestionar el riesgo de forma eficaz.
Un inventario criptográfico debe ir más allá de los certificados. Debe incluir aplicaciones, bibliotecas, protocolos y sistemas que utilizan o aplican criptografía. Esto suele implicar el análisis de aplicaciones y API internas, la identificación de algoritmos codificados y la colaboración con desarrolladores y arquitectos para comprender las dependencias. Diversas herramientas pueden ayudar con esto, como escáneres de código y plataformas de descubrimiento especializadas.
Una vez que haya logrado visibilidad de sus activos y entornos criptográficos, el siguiente objetivo es la agilidad. La agilidad criptográfica se refiere a la capacidad de intercambiar algoritmos sin reescribir ni rediseñar sistemas completos. Parece simple, pero en la práctica, es uno de los aspectos más difíciles de esta transición. Muchos sistemas heredados no están diseñados con criptografía modular en mente, lo que significa que incluso pequeños cambios en los algoritmos pueden suponer un riesgo operativo.
Aquí es donde la transición poscuántica se entrelaza con una estrategia de TI más amplia. Agilizar su infraestructura no solo beneficia la resistencia cuántica, sino que también mejora su capacidad de respuesta ante cualquier vulnerabilidad criptográfica, ya sea que se descubra la próxima semana o la próxima década. La agilidad también permite probar nuevos algoritmos de seguridad cuántica junto con los tradicionales, un proceso comúnmente conocido como criptografía híbrida.
Criptografía híbrida: un primer paso práctico
La criptografía híbrida se está convirtiendo rápidamente en la estrategia preferida del sector para la implementación inicial. En lugar de reemplazar directamente RSA o ECC, los modelos híbridos permiten que dos algoritmos, normalmente uno clásico y otro resistente a la computación cuántica, trabajen conjuntamente. Esto crea una red de seguridad durante la fase de migración. Si un algoritmo se vulnera o no supera la validación, el otro proporciona protección continua.
Las organizaciones líderes ya están implementando soluciones híbridas. Google Cloud ha implementado el intercambio de claves híbrido en su Servicio de Gestión de Claves, combinando la criptografía de curva elíptica con CRYSTALS-Kyber. Cisco ha estado probando TLS híbrido con Kyber en escenarios reales. Cloudflare, otra empresa importante, se ha comprometido a incorporar la compatibilidad con PQC en su suite de productos Zero Trust para 2025. Estas no son pruebas de concepto teóricas, sino implementaciones en vivo destinadas a ser probadas, escaladas y perfeccionadas.
Para las organizaciones que aún están comenzando su recorrido, es posible comenzar con implementaciones híbridas en entornos de menor riesgo, como desarrollo interno, laboratorios de pruebas o programas piloto de socios, que pueden brindar una experiencia valiosa y ayudar a identificar desafíos operativos antes de una implementación más amplia.
Construyendo un modelo de gobernanza en torno a PQC
La preparación cuántica no es una iniciativa puramente técnica. Requiere la participación de las funciones de gobernanza, legal, de riesgos y de compras. Los CISO deben ayudar a traducir el riesgo criptográfico en riesgo empresarial, un lenguaje que resuena con la junta directiva y las partes interesadas ejecutivas.
Esto incluye alinear el PQC con los registros de riesgos, integrarlo en las estrategias de continuidad del negocio e incorporarlo en la debida diligencia de fusiones y adquisiciones, las evaluaciones de riesgo de los proveedores y la planificación regulatoria. Si trabaja en un sector regulado, como los servicios financieros o la salud, es probable que la preparación para la tecnología cuántica se convierta en un problema de cumplimiento normativo en los próximos años. El NIST ya ha seleccionado a Kyber, Dilithium, Falcon y SPHINCS+ como los primeros algoritmos estandarizados de PQC. Con la publicación de FIPS prevista para 2025, las organizaciones sujetas a requisitos federales o del sector ya deberían estar revisando sus planes.
Involucrar a sus proveedores es fundamental en este proceso de gobernanza. Comience a preguntar sobre criptografía postcuántica en las solicitudes de propuestas (RFP) y las evaluaciones de proveedores. Busque claridad sobre los plazos, la compatibilidad con modos híbridos y si el proveedor planea cumplir con los próximos estándares de cumplimiento. Si los servicios de terceros gestionan las operaciones criptográficas, especialmente en entornos de nube, es crucial comprender cómo y cuándo planean adaptarse.
Ejecución de un plan de transición a largo plazo
Las transiciones más exitosas a PQC serán graduales, deliberadas e iterativas. No se trata de una simple sustitución. Considérelo más bien un modelo de madurez gradual.
Comience con sistemas donde las transiciones criptográficas presentan un menor riesgo: canales de desarrollo, API internas y comunicación entre servicios. Luego, expanda la protección, integrando las protecciones de PQC en su autoridad de certificación, sistemas de identidad, correo electrónico, aplicaciones móviles y servicios públicos.
Su hoja de ruta a largo plazo debe incluir los siguientes elementos: establecer métricas de preparación cuántica (p. ej., porcentaje de sistemas con criptografía híbrida habilitada), programar revisiones periódicas de la alineación de proveedores, mantener un inventario criptográfico central y realizar simulacros internos que simulen el fallo de los estándares criptográficos actuales. Estas actividades ayudan a normalizar la PQC en toda la cultura de su organización, no solo en su código fuente.
La figura 2 presenta el cronograma esperado para la migración de PQC, desde hoy hasta 2035:
Ahora – La recopilación de datos está en marcha:
Los adversarios ya están recopilando datos cifrados con la intención de descifrarlos una vez que las computadoras cuánticas sean lo suficientemente potentes. Esto significa que el tiempo ya está corriendo, incluso si las amenazas cuánticas prácticas aún están a años de distancia.
2025 – Estándares NIST finalizados:
El Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST) está ultimando los algoritmos criptográficos postcuánticos oficiales. Estos estándares servirán de base para su adopción global.
2028 – Presión de cumplimiento temprano:
Según el Centro Nacional de Ciberseguridad (NCSC) del Reino Unido, las organizaciones comenzarán a sentir la presión regulatoria y de cumplimiento para adoptar la PQC. Sectores como el financiero, el de defensa y el sanitario podrían enfrentarse a mandatos más tempranos debido a su sensibilidad.
2035 – Objetivo para la migración completa de PQC:
Para entonces, se espera que las organizaciones hayan completado la transición a PQC. Aunque parezca lejano, las migraciones criptográficas a gran escala suelen tardar una década o más, por lo que es crucial comenzar a planificar hoy mismo. Este cronograma subraya la urgencia: aunque la fecha límite final pueda estar a 10 años, el trabajo de preparación debe comenzar ya.
Puntos Clave
Es importante considerar la transición cuántica no como un evento aislado, sino como una fase transformadora de la confianza digital. Las decisiones que tomemos ahora sobre arquitectura, estándares, selección de proveedores y gestión de riesgos definirán el futuro de la seguridad empresarial en un mundo poscuántico.
La preparación no consiste en predecir el año exacto en que las computadoras cuánticas descifrarán el cifrado actual. Se trata de asegurar que su organización esté estructurada para adaptarse cuando esto ocurra. Ese tipo de resiliencia no comienza con el pánico ni la observación pasiva, sino con el liderazgo.
Para los CISO, este es un momento de claridad. El futuro poscuántico se acerca, y nuestra responsabilidad es afrontarlo con un plan, no solo para sobrevivir, sino para obtener una ventaja estratégica.
¿Cómo puede ayudar la consultoría de cifrado?
En Encryption Consulting, ayudamos a las organizaciones a afrontar la complejidad de la preparación para la era post-cuántica con un enfoque estructurado y de eficacia probada:
- Evaluaciones criptográficas e inventario: Brindamos servicios de descubrimiento para ayudar a los CISO a obtener visibilidad completa de dónde se utiliza la criptografía en sus entornos, cubriendo certificados, aplicaciones, API y sistemas integrados.
- Desarrollo de la hoja de ruta: Nuestros expertos diseñan estrategias de transición por fases adaptadas a las prioridades de su negocio, garantizando que la adopción de PQC se alinee con los requisitos de gobernanza, cumplimiento y operativos.
- Implementaciones de criptografía híbrida: Ayudamos a implementar enfoques híbridos que combinan algoritmos clásicos y cuánticos seguros, lo que permite a las organizaciones probar, validar y escalar soluciones PQC sin interrumpir el negocio.
- Alineación de gobernanza y cumplimiento: Desde la creación de modelos de gobernanza hasta la incorporación de PQC en los registros de riesgos y la planificación regulatoria, ayudamos a los CISO a traducir los riesgos criptográficos en riesgos empresariales que la junta pueda comprender.
- Documentación y soporte: Entregamos documentación de extremo a extremo para procesos de compilación, actualizaciones de firmware, inventarios criptográficos y procedimientos de ceremonia de claves para garantizar la excelencia operativa y la preparación para auditorías.
Ya sea que su organización se encuentre en las primeras etapas de exploración de PQC o ya esté ejecutando pilotos de criptografía híbrida, Encryption Consulting proporciona la experiencia, las herramientas y los marcos para garantizar una transición segura y sin problemas.
Conclusión
La computación cuántica representa una de las fuerzas más disruptivas a las que se ha enfrentado la ciberseguridad. La transición a la criptografía poscuántica no es simplemente una actualización técnica, sino una transformación fundamental de cómo las organizaciones protegen los datos, mantienen la confianza y desarrollan resiliencia para las próximas décadas. Para los CISO, la tarea es clara: desarrollar la visibilidad de los activos criptográficos, agilizar las infraestructuras de TI y seguridad, y alinear los procesos de gobernanza y gestión de riesgos con esta nueva realidad. Quienes actúen con anticipación no solo se protegerán contra las amenazas del futuro, sino que también obtendrán una ventaja estratégica en resiliencia y confiabilidad. La era cuántica se acerca, y ahora es el momento de prepararse.
